JsonView 不能直接做字段级权限脱敏，它仅支持静态视图控制字段是否序列化，无法根据用户角色动态脱敏；需结合@JsonGetter权限感知方法或权限隔离DTO实现。
JsonView 能不能直接做字段级权限脱敏
不能。JsonView 本质是视图标记，只控制字段是否序列化，不提供运行时条件判断能力——它不会因为你当前用户是管理员就多序列化 idCard，也不会因为角色是普通员工就自动把 salary 替换成 ***。它只能做到「这个字段在 AdminView 里出现，在 UserView 里不出现」，属于静态白名单机制。
为什么 @JsonView + 自定义 Serializer 是常见错误组合
很多人试图在 @JsonView 的基础上叠加 @JsonSerialize(using = SensitiveFieldSerializer.class)，结果发现：一旦字段被 @JsonView 排除，自定义 Serializer 根本不会执行；而只要它出现在视图中，Serializer 就无差别触发，无法感知当前请求的权限上下文。根本矛盾在于：Serializer 运行时拿不到 Spring Security 的 Authentication 或自定义的租户/角色信息。
- JsonView 解析发生在序列化前期，此时 Jackson 不持有任何 Spring 上下文
- @JsonSerialize 注解绑定的是类级别行为，无法按请求动态切换逻辑
- 强行把 SecurityContext 存进 ThreadLocal 再在 Serializer 里取，会破坏 Jackson 的线程安全性（尤其在 Netty 或异步 Servlet 场景下）
真正可行的方案：用 @JsonView 做结构隔离，用 @JsonGetter + 权限感知方法兜底
把敏感字段从实体直出改为「按需计算」：实体保留原始字段（如 idCardRaw），对外暴露一个 getter 方法，用 @JsonView 标记该方法，并在方法体内读取当前权限做脱敏决策。Jackson 会把方法返回值当字段序列化，且方法可自由调用 Spring Bean。
public class User {
private String idCardRaw;
@JsonView(AdminView.class)
public String getIdCard() {
return idCardRaw;
}
@JsonView(UserView.class)
public String getIdCard() {
Authentication auth = SecurityContextHolder.getContext().getAuthentication();
if (auth != null && auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_ADMIN"))) {
return idCardRaw;
}
return "***" + idCardRaw.substring(6, 10) + "****";
}
}
- 必须为同一字段名写多个同名 getter，Jackson 会根据视图选择对应方法（注意：需开启
MapperFeature.OVERRIDE_PUBLIC_ACCESS_MODIFIERS） - 方法内可注入
SecurityContext、RequestContextHolder或自定义权限服务，完全可控 - 避免在 getter 里做重 IO 操作——脱敏是 CPU 密集型，不是 DB 查询，否则影响序列化吞吐
更干净的做法：用 @JsonUnwrapped + 动态 DTO 组装
彻底放弃在领域实体上塞权限逻辑。定义接口专属 DTO（如 UserPublicDto、UserAdminDto），用 @JsonView 标记 DTO 类，再通过构造函数或 Builder 按权限组装字段值。Jackson 序列化的是 DTO，实体只负责数据承载。
public class UserAdminDto {
@JsonView(AdminView.class)
public final String idCard;
public UserAdminDto(User user) {
this.idCard = user.getIdCardRaw(); // 直接暴露
}
}
public class UserPublicDto {
@JsonView(PublicView.class)
public final String idCard;
public UserPublicDto(User user) {
this.idCard = maskIdCard(user.getIdCardRaw()); // 脱敏逻辑集中在此
}
}
- DTO 构造时已知完整上下文（比如 Controller 层已鉴权完毕），可安全调用权限服务
- 避免实体污染，符合 DDD 的分层约束
- 如果字段多、视图多，建议用 MapStruct 自动生成 DTO 映射，而不是手写构造函数
最常被忽略的一点：@JsonView 的 Class 对象必须全局唯一且不可变。别用匿名内部类或每次 new 出来的 View 类，否则 Jackson 缓存失效，性能骤降。
